1

Только осваиваю Angular. А меня вот беспокоит вопрос: если весь javascript - клиентский код, в т.ч. и Angular, то поведение этого кода любой может менять посредством встроенного в браузер отладчика. Если так, то вся валидация на Angular создана исключительно из вопроса usability и никак не может происходить только лишь на стороне клиента, иными словами: валидацию форм нужно дублировать на стороне сервера?

1
  • Разумеется. Клиент всегда под контролем пользователя, вне зависимости от фреймворка и вообще от использования js на вашем сайте.
    – VladD
    29 июл 2016 в 19:40

3 ответа 3

3

В целом это вообще большая печаль современных фастфуд методов разработки. В погоне за простотой и удобством использования, авторы фреймворков/библиотек/бд лукавят, и стараются не афишировать подводные камни.

Кодеры-пользователи тоже молодцы, иногда осознано игнорируют аспекты безопасности в угоду скорости разработки, и часто можно видеть, как сначала клиент запрашивает чуть ли не целиком базу данных, и уже на клиенте фильтрует её перед отображением. Да, пароли тоже бывает приходят.

В том же meteor до определенной версии вообще по дефолту можно можно было через консоль браузера создавать пользователей и назначать им права (карл!).

Или например горячо любимая mongodb, услужливо сидит на 27017 порту и часто не имеет паролей. Вы удивитесь сколько таких серверов висят наружу в интернете - заходи, будь как дома. На их главной странице (в стили лендинг, как же без этого) вместо картинки про луну и mission critical, надо бы написать большими буквами - ребята, здесь нет транзакций, автоинкремента и других вещей, которые придется велосипедить (или игнорировать).

То, что вы заинтересовались этим вопросом, уже хорошо, на этом пути узнаете для себя много нового. И в целом правильно уже ответили - клиент - это враждебная территория населенная гнусными хакерами, котами, сидящими попой на клавиатуре (одновременно пекущими блины), школьниками, скачавшими (не)бесплатно и (не)без смс супер-скрипт для накрутки вашего счетчика и т.д. и т.п. По слухам, где-то, даже сидят те самые бесконечные обезьяны и пишут Гамлета (или может это китайцы сканируют порты).

описание изображения

1

Во-первых, сам вопрос поставлен неверно. Angular - всего лишь JS фреймворк, он не меняет язык, платформу или рантайм, и это всё тот же браузерный JS. Так что лучше поставить вопрос как "Безопасность в JS".

А теперь непосредственно к вопросу. Если вы разрабатываете и бекенд и фронтенд, то при разработке бекенда относитесь к безопасности так, как если бы вы писали API для какого-то левого незнакомого человека. Очень хитрого человека, который будет использовать любую возможность, дабы найти дыру в вашем сервисе. Всё так или иначе требующее защиты от вмешательства ДОЛЖНО выполняться на сервере. Клиентская часть лишь отображает полученные данные с сервера, именно ОТОБРАЖАЕТ, а не контролирует процессы. Валидация в клиенте нужна лишь для удобства пользователя (кому же понравится десять раз отправлять форму о регистрации и каждый раз получать ошибку об занятом логине). Если мыслить патерном MVC, то клиент это представление, а сервер это контроллер и модель. Клиент (представление) лишь обёртка для тех данных и процессов, что происходит на сервере.

Конечно, когда данные не нуждаются в защите, то тогда и только тогда логика контроллера может быть реализована в клиенте.

Да, и почитайте про SQL-инъекции. Вот исчерпывающая статья (там PHP и MySQL, но это не важно, самое главное дано - всё что до самостоятельной реализации плейсхолдеров): https://habrahabr.ru/post/148701/

1

Перед использованием или обработкой данных на сервере обязательно нужно их фильтровать, иначе возможны XSS, Sql Injection и многие другие уязвимости.

Для вставки нужно использовать связываемые переменные (Prepared statements) что позволит избежать инъекций в запрос которые возможны при использовании конкатенации строк при формировании запроса.

Для фильтрации переменных с числами например для PHP - intval(), а для JavaScript/NodeJS - parseInt()

Другие сложные данные можно проверять с RegExp.

Никогда нельзя доверять данным которые отправлены с клиента, так как они могут быть подделаны. Все проверки нужно дублировать на стороне сервера.

2
  • :) регулярное выражение для проверки валидности электронной почты '@' 29 июл 2016 в 19:40
  • Не учите ТС плохому. Для того, чтобы избежать SQL Injection, нужно не составлять SQL-запросы конкатенацией.
    – VladD
    29 июл 2016 в 19:43

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.